Dit artikel maakt organisaties verder wegwijs bij het bouwen en gebruiken van AI-toepassingen en de invloed van de AI-verordening hierop. Het geeft inzicht in de architectuur van de AI-verordening. Het is een samenvatting van het webinar ‘Exploring the Architecture of the AI Act’ van 28 november 2024.

Inleiding

De AI-verordening (AI Act) van de Europese Unie is de eerste uitgebreide wetgeving die kunstmatige intelligentie reguleert binnen een gestructureerd kader. Het doel van deze verordening is om een evenwicht te vinden tussen innovatie en de bescherming van fundamentele rechten, veiligheid en transparantie. Dit betekent dat AI-systemen verantwoord moeten worden ingezet, waarbij rekening wordt gehouden met ethische normen en potentiële risico’s voor burgers en organisaties.

Innovatie stimuleren: De risicopyramide en regulatory sandbox

Een van de hoofddoelstellingen van de AI-verordening is het bevorderen van innovatie, zonder dat dit ten koste gaat van de veiligheid en ethiek. De AI-verordening maakt gebruik van een risicogebaseerde benadering, waarbij AI-systemen worden ingedeeld op basis van het potentiële gevaar dat ze kunnen vormen. Hoe hoger het risico, hoe strikter de regelgeving en controle. Dit systeem helpt om duidelijke kaders te scheppen voor bedrijven en overheidsinstanties die AI willen implementeren, terwijl tegelijkertijd kwetsbare groepen en fundamentele rechten worden beschermd. De verordening introduceert een risicopyramide die AI-systemen indeelt in vier categorieën:

1. Onaanvaardbaar risico: AI-systemen die een onacceptabele bedreiging vormen voor grondrechten en veiligheid worden verboden. Denk hierbij aan toepassingen zoals biometrische identificatie voor massasurveillance en sociale scoring door overheden. Sinds 1 februari 2025 zijn deze systemen verboden.
2. Hoog risico: AI-systemen die worden toegepast in kritieke sectoren, zoals gezondheidszorg, rechtshandhaving en infrastructuur, vallen onder strenge regulering. Voordat ze op de markt worden gebracht, moeten ze conformiteitsbeoordelingen ondergaan om ervoor te zorgen dat ze voldoen aan strikte veiligheidseisen. Deze systemen mogen alleen worden ingezet met een CE-markering.
3. Beperkt risico: AI-toepassingen zoals chatbots en deepfake-technologieën moeten transparantie-eisen naleven. Dit betekent dat gebruikers expliciet op de hoogte moeten worden gesteld wanneer ze met AI te maken hebben, zodat misleiding wordt voorkomen.
4. Minimaal risico: AI-toepassingen die weinig tot geen gevaar vormen, zoals spamfilters en automatische aanbevelingssystemen, vallen onder een lichte of geen regulering. Ondanks het gebrek aan strenge regelgeving wordt ethische naleving gestimuleerd.

De Rijksoverheid heeft inmiddels een tool Beslishulp beschikbaar gesteld om de risicocategorie van het AI-systeem te bepalen.

Om innovatie te ondersteunen, introduceert de AI-verordening de regulatory sandbox. Dit is een gecontroleerde testomgeving waarin bedrijven en startups AI-toepassingen kunnen ontwikkelen en valideren zonder direct aan alle strikte wetgevingseisen te hoeven voldoen. Hierdoor krijgen ontwikkelaars de kans om experimentele AI-technologieën veilig te testen en risico’s vroegtijdig te identificeren. Regulatory sandboxes spelen een cruciale rol in het versnellen van de marktintroductie van verantwoorde AI-oplossingen en stimuleren samenwerking tussen overheden en de private sector.

Wetgeving

Een belangrijk uitgangspunt van de AI Act is AI-geletterdheid, oftewel het bewustzijn en begrip van AI-technologieën bij bedrijven, overheden en burgers. Sinds 1 februari 2025 moeten organisaties hiervoor zorgen. AI-geletterdheid is essentieel om zowel de voordelen als de risico’s van AI adequaat te kunnen beoordelen en te reguleren. De wetgeving stelt duidelijke eisen aan de transparantie van AI-systemen: bedrijven en instellingen die AI ontwikkelen of inzetten, moeten inzichtelijk maken hoe de technologie werkt, welke datasets worden gebruikt en welke maatregelen zijn genomen om bias en discriminatie te voorkomen. Dit verhoogt niet alleen het vertrouwen in AI, maar helpt ook bij de verantwoordelijke toepassing ervan.

Centraal binnen de wetgeving staan zeven kernvereisten waaraan AI-systemen moeten voldoen om de veiligheid en betrouwbaarheid te garanderen:

1. Menselijk toezicht: AI-systemen moeten ontworpen zijn zodat menselijke interventie mogelijk blijft en ongewenst autonoom gedrag kan worden bijgestuurd.
2. Technische robuustheid en veiligheid: AI-toepassingen moeten bestand zijn tegen fouten en beveiligingsrisico’s om schade te voorkomen.
3. Privacy en gegevensbeheer: AI-systemen moeten voldoen aan strenge privacyregels en verantwoord omgaan met persoonsgegevens.
4. Transparantie: Gebruikers moeten duidelijk geïnformeerd worden over de werking en beperkingen van AI-systemen.
5. Diversiteit, non-discriminatie en eerlijkheid: AI mag geen bias of discriminatie veroorzaken en moet rekening houden met verschillende gebruikersgroepen.
6. Maatschappelijke en ecologische welzijnseisen: AI-systemen mogen geen schadelijke effecten hebben op de samenleving of het milieu.
7. Verantwoordingsplicht: Ontwikkelaars en gebruikers van AI moeten verantwoording kunnen afleggen over de werking en impact van hun systemen.

Het ALTAI-tool van de Europese Unie is te gebruiken als zelf-assessment met een uitgebreide vragenlijst om beter inzicht te krijgen in de kernvereisten van de AI-verordening.

De CE-markering is verplicht voor hoog-risico AI-systemen en bewijst dat een systeem voldoet aan de Europese AI-verordening. Organisaties moeten aantonen dat hun AI transparant, veilig en betrouwbaar is, met maatregelen voor menselijk toezicht, privacybescherming en biaspreventie.

Om deze markering te verkrijgen, is een technisch dossier vereist met onder andere een risicoanalyse, test- en validatierapporten, data governance-documentatie en een gebruikershandleiding. Een conformiteitsbeoordeling door een externe instantie of interne audit bevestigt dat het systeem voldoet aan alle wettelijke eisen. Pas na deze goedkeuring mag een hoog risico AI-systeem binnen de EU op de markt worden gebracht.

Governance en toezicht binnen de EU

De AI-verordening wordt ondersteund door een robuust governance- en toezichtmechanisme, waarmee naleving en handhaving binnen de EU worden gewaarborgd. Door een gelaagde governance-structuur wordt een effectief toezichtmechanisme gecreëerd dat ervoor zorgt dat AI-systemen veilig, eerlijk en transparant worden ingezet binnen de EU. De kern van deze structuur wordt gevormd door het EU AI Office, een centraal orgaan dat verantwoordelijk is voor de coördinatie en implementatie van de AI- verordening. Het EU AI Office speelt een cruciale rol bij het opstellen van richtlijnen, het verstrekken van advies aan lidstaten en het bevorderen van internationale samenwerking op het gebied van AI-regulering.

Daarnaast worden nationale toezichthouders binnen elke lidstaat aangewezen om de naleving van de AI Act op nationaal niveau te controleren. Deze instanties hebben de volgende verantwoordelijkheden:

• Toezicht en handhaving: Ze zorgen ervoor dat bedrijven en overheidsinstanties AI-systemen op een verantwoorde manier implementeren en gebruiken.
• Sancties opleggen: Bij overtreding van de AI Act kunnen toezichthouders boetes of andere sancties opleggen.
• Ondersteuning en advies: Ze bieden richtlijnen aan bedrijven en organisaties om hen te helpen voldoen aan de AI-regelgeving.

Naast het EU AI Office en de nationale toezichthouders spelen verschillende andere instanties een rol in de governance van AI:

• Europese Toezichthouder voor Gegevensbescherming (EDPS): Controleert de naleving van de privacy- en databeveiligingsaspecten van AI-systemen.
• Europese Commissie: Bepaalt de strategische richting van de AI-wetgeving en kan deze bijstellen op basis van technologische ontwikkelingen en maatschappelijke behoeften.
• AI-expertgroepen: Bestaan uit wetenschappers, beleidsmakers en vertegenwoordigers uit de industrie, die advies geven over de ethische en technologische aspecten van AI-toepassingen.

De samenwerking tussen het EU AI Office, nationale toezichthouders en andere instanties waarborgt dat de AI-verordening dynamisch en toekomstbestendig blijft, terwijl innovatie binnen ethische en juridische kaders wordt gestimuleerd. In Nederland coördineert momenteel (juni 2025) de Autoriteit Persoonsgegevens het toezicht op AI.